Comment activer LAPS sur le compte Admin du MTR via Intune
- Maxime Hiez
- Intune , Tutoriel
- 17 Feb, 2025
Définition
La solution LAPS (Local Administrator Password Solution) de Microsoft est un outil gratuit conçu pour améliorer la sécurité des mots de passe des comptes administrateurs locaux sur les postes de travail, les serveurs mais aussi les salles de conférence Microsoft Teams.
Comment fonctionne LAPS ?
LAPS génère automatiquement des mots de passe uniques et complexes pour les comptes administrateurs locaux de chaque machine gérée. Ces mots de passe sont ensuite stockés de manière sécurisée dans Intune. Voici les étapes clés de son fonctionnement :
- Génération de mots de passe : LAPS crée des mots de passe aléatoires pour les comptes administrateurs locaux selon des critères de complexité définis par l’administrateur.
- Stockage sécurisé : Les mots de passe générés sont stockés dans Intune.
- Accès contrôlé : Seuls les utilisateurs disposant des autorisations appropriées peuvent accéder aux mots de passe. Cela garantit qu’ils ne sont accessibles qu’aux administrateurs autorisés.
- Rotation automatique : LAPS permet de définir des politiques de rotation des mots de passe, assurant que les mots de passe sont régulièrement mis à jour pour renforcer la sécurité.
Pourquoi mettre en place LAPS ?
- Sécurité renforcée : Utiliser le même mot de passe administrateur local sur plusieurs machines est une pratique risquée. Si un attaquant parvient à obtenir ce mot de passe, il peut se déplacer latéralement dans le réseau. LAPS élimine ce risque en générant des mots de passe uniques pour chaque machine.
- Gestion simplifiée : LAPS automatise la gestion des mots de passe administrateurs locaux, réduisant ainsi la charge de travail des administrateurs système. Plus besoin de gérer manuellement les mots de passe ou de les stocker dans des fichiers non sécurisés.
- Conformité : De nombreuses réglementations de sécurité exigent la gestion sécurisée des mots de passe. LAPS aide les organisations à se conformer à ces exigences en assurant une gestion centralisée et sécurisée des mots de passe.
Prérequis
Licences nécessaires
- Teams Rooms Pro (ou Basic).
Une salle Teams
- Un MTR Windows déployé.
Rôle d’administrateur
- Un compte avec le rôle Administrateur Global ou Administrateur d’utilisateurs pour accéder au Microsoft Entra Admin Center.
- Un compte avec le rôle Administrateur Global ou Administrateur Intune pour accéder au Microsoft Intune Admin Center.
Étape 1 : Se connecter au Microsoft Entra Admin Center
Connectez vous au Microsoft Entra Admin Center en ouvrant votre navigateur web sur https://entra.microsoft.com.
Étape 2 : Activer LAPS
Dans le menu de gauche, cliquez sur Identity, puis sur Devices et sur All devices.
Cliquez sur Device settings, puis sur l’interrupteur Enable Entra Local Administrator Password Solution (LAPS) pour activer le service.
Étape 3 : Créer un groupe de sécurité
Dans le menu de gauche, cliquez sur Identity, puis sur Groups et sur All groups.
Cliquez sur New group pour créer un nouveau groupe de sécurité de type Appareil dynamique.
Cliquez sur Add dynamic query, puis ajouter (device.displayName -startsWith “MTR-”) dans la règle. Ceci va permettre de rassembler tous les MTR dans le même groupe.
Étape 4 : Se connecter au Microsoft Intune Admin Center
Connectez vous au Microsoft Intune Admin Center en ouvrant votre navigateur web sur https://intune.microsoft.com.
Étape 5 : Créer une règle LAPS
Dans le menu de gauche, cliquez sur Endpoint security, puis sur Account protection.
Créez une règle pour la plateforme Windows 10 and later avec le profil Local admin password solution (Windows LAPS).
Activez les options avec les valeurs de votre choix.
On va vouloir cibler le compte Admin (dont le mot de passe par défaut est sfb) du MTR.
Assignez le groupe de sécurité créé en étape 3.
Étape 6 : Accéder au mot de passe
Dans le menu de gauche, cliquez sur Devices, puis recherchez le MTR que vous souhaitez vérifier.
Cliquez sur Show local administrator password pour révéler son mot de passe temporaire.
En dessous, on peut voir quand a été automatiquement changé le mot passe pour la dernière fois, et quand il sera de nouveau remplacé.
Étape 7 : Valider les logs
Depuis l’interface Windows (avec le nouveau mot de passe), allez dans le Event Viewer et ouvrez le répertoire Applications and Services Logs / Microsoft / Windows / LAPS. Les logs vont être visibles.
Allons plus loin
La procédure est ici présentée pour une salle de conférence Teams MTR dont le compte par défaut est Admin et vient avec le mot de passe sfb, mais elle fonctionne aussi pour les comptes administrateurs locaux des postes de travail de vos utilisateurs.
Conclusion
La mise en place de LAPS est une étape cruciale pour renforcer la sécurité des comptes administrateurs locaux dans une organisation. En automatisant la génération et la gestion des mots de passe, LAPS réduit les risques de sécurité et simplifie le travail des administrateurs système. En suivant les étapes décrites, vous pouvez implémenter LAPS efficacement et améliorer la sécurité de votre infrastructure.
Vous savez maintenant comment activer LAPS sur le compte Admin du MTR.
Sources
Microsoft Learn - Windows LAPS
Avez-vous apprécié cet article ? Vous avez des questions, commentaires ou suggestions, n’hésitez pas à m’envoyer un message depuis le formulaire de contact.
N’oubliez pas de nous suivre et de partager cet article.
